Zraniteľnosť chaiOS – jednoduché prepojenie spôsobí zamrznutie iPhonu

Na druhý deň bola v systéme iOS objavená zraniteľnosť, ktorá vedie k zlyhaniu programu „Správy“, po ktorom nasleduje „zamrznutie“ a reštart smartfónu. Stane sa to vtedy, keď na smartfóne dostanete správu so špeciálne navrhnutým odkazom URL.

Chybu objavil vývojár Abraham Masri, ktorý ju nazval „chaiOS“. Podstatou zraniteľnosti je, že aplikácia „Správy“ pri odosielaní url odkazu predbežne načíta stránku a zobrazí jej náhľad. Masri hovorí, že vytvoril webovú stránku hostenú na GitHub a naplnil ju stovkami tisíc znakov. Programátor predpokladá, že zlyhanie programu je spôsobené pokusom o predbežné načítanie množstva nepotrebných informácií, čo neskôr spôsobí zlyhanie operačného systému a vedie k zamrznutiu a reštartu.

Podľa správ používateľov má táto zraniteľnosť zmiešané účinky. Najčastejšie však vedú k „zlyhaniu“ programu „Správy“, systémovým brzdám, úplnému zamrznutiu zariadenia a niekedy k „respringu“ (iOS znova načíta softvér SpringBoard a vráti používateľa na uzamknutú obrazovku).

Vývojár testoval chaiOS na iPhone X a iPhone 5S. Potom oznámil, že zraniteľnosť sa týka iOS od verzie 10.0 po verziu 11.2.5 beta 5. Zraniteľnosť môže spôsobiť zlyhanie „Správ“ aj na macOS, takže majitelia MacBookov by si mali svoje zariadenia tiež zabezpečiť.

Našťastie nájsť funkčné kópie adries URL v súčasnosti nie je také jednoduché. Po tom, čo bol škodlivý odkaz zverejnený na GitHub a skopírovaný veľkým počtom tretích strán, sa ho stránka rozhodla odstrániť. Samotný Masri sa nechystá znova nahrať pracovnú verziu stránky. Predbežné nahranie na GitHub sa uskutočnilo iba na účely pozornosti Apple.

Pre bezpečnosť našich čitateľov zverejňujeme krátky návod na ochranu iOS zariadení:

1. Blokovanie domény lokality, kde sa nachádza zraniteľnosť. Ak odkaz vedie na zdroj GitHub, prejdite do časti Nastavenia - Safari - Základné - Obmedzenia - Povoliť obmedzenia (zadajte ľubovoľné 4-miestne heslo obmedzenia) - Webové stránky - Obmedziť obsah pre dospelých - (Podsekcia "Nikdy nepovoliť" ) pridať web - GitHub .io.
2. Rýchle vymazanie správy po jej prijatí. Existujú zmiešané recenzie používateľov týkajúce sa účinnosti tejto metódy. Všetko závisí od toho, ako rýchlo môže používateľ odstrániť správu so škodlivým odkazom.
3. Obnovte výrobné nastavenia iPhone. Je to posledná možnosť, pretože po jeho použití sa všetky neuložené informácie vymažú. A ak nemáte záložné kópie systému, potom je najlepšie toto opatrenie opustiť.
4. Čaká sa na patch. Bohužiaľ nie je známe, či spoločnosť pracuje na odstránení tohto problému, pretože oficiálne komentáre od Apple kým neprišlo.

Táto kategória zraniteľností nie je vo firmvéri iPhone novinkou. Takéto škodlivé odkazy spôsobili, že smartfóny spoločnosti v rokoch 2015 a 2016 zamrzli. Vzhľadom na skutočnosť, že na konci minulého roka bolo od spoločnosti obrovské množstvo opráv firmvéru AppleZostáva dúfať, že spoločnosť bude v nasledujúcom roku pozornejšia a citlivejšia na bezpečnostné problémy.

Dzherelo: theverge.com